Definição
O GDPR é o regulamento da União Europeia, Regulamento (UE) 2016/679, que rege o tratamento de dados pessoais por organizações estabelecidas na UE e por organizações de fora que oferecem bens ou serviços a pessoas na UE ou monitoram o comportamento delas. A gravação ou transcrição de uma pessoa identificável que liga é um dado pessoal.
O que abrange
O Regulamento Geral sobre a Proteção de Dados aplica-se ao tratamento de dados pessoais. O artigo 4(1) define dados pessoais como qualquer informação relativa a uma pessoa natural identificada ou identificável, o que inclui um nome, um número de identificação, dados de localização ou um identificador online. Uma gravação de voz ligada a um número de telefone ou a uma conta, e uma transcrição que menciona um nome, estão ambas nessa definição.
O artigo 3 define o alcance. Aplica-se ao tratamento no contexto das atividades de um estabelecimento de um controlador ou de um operador na UE, independentemente de o tratamento ocorrer ou não na UE. Aplica-se também a um controlador ou operador fora da UE quando o tratamento está relacionado com a oferta de bens ou serviços a pessoas na UE, ou com o controlo do seu comportamento. Uma empresa fora da Europa que atenda chamadas de clientes europeus pode, portanto, estar abrangida.
Dois papéis importam. O controlador (na versão portuguesa do regulamento, “responsável pelo tratamento”) decide as finalidades e os meios do tratamento. O operador (“subcontratante”) trata dados pessoais em nome do controlador (artigo 4(7) e (8)). Uma empresa que implanta um agente de voz costuma ser a controladora, e a plataforma e os fornecedores de voz que ela usa costumam ser operadores.
O que exige
- O artigo 5 define os princípios, incluindo o de que os dados sejam mantidos de forma identificável apenas pelo período necessário para as suas finalidades (artigo 5(1)(e)).
- O artigo 6(1) lista seis bases legais para o tratamento: consentimento, contrato, obrigação legal, interesses vitais, interesse público e interesses legítimos. O controlador precisa de pelo menos uma para cada finalidade.
- O artigo 9 proíbe o tratamento de dados biométricos usados para identificar uma pessoa de forma inequívoca e de dados relativos à saúde, a menos que se aplique uma exceção, como o consentimento explícito.
- O artigo 13 exige que o controlador diga às pessoas quem é e por que trata os dados delas no momento em que os coleta.
- O artigo 22 dá às pessoas o direito de não ficarem sujeitas a uma decisão tomada exclusivamente com base em tratamento automatizado que produza efeitos jurídicos ou as afete significativamente de forma similar.
- O artigo 28 exige um contrato entre controlador e operador que, entre outros termos, faça o operador agir apenas mediante instruções documentadas.
- Os artigos 44 a 49 permitem transferir dados pessoais para fora da UE somente quando as condições desse capítulo são cumpridas.
- O artigo 83(5) permite multas de até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior, por violações dos princípios básicos, dos direitos dos titulares e das regras de transferência.
O regulamento não cria um estatuto geral de “certificado GDPR”. O artigo 42 admite mecanismos de certificação aprovados, e o artigo 42(4) diz que uma certificação não reduz a responsabilidade do controlador ou do operador.
O que significa para um agente de voz
Escolha uma base legal para cada coisa que uma chamada produz e informe cedo quem liga. É mais uma razão pela qual um breve aviso falado no início da chamada é comum. Defina por quanto tempo vivem gravações e transcrições (retenção de dados) e se o fornecedor não guarda absolutamente nada (retenção zero de dados).
Verifique para onde vai o áudio. Um fornecedor de voz, um fornecedor de LLM e uma operadora de telefonia podem tratar a chamada em países diferentes, e cada um é um operador com quem você precisa de um contrato. Se o agente identifica quem liga pela voz, isso é tratamento biométrico e levanta a questão do artigo 9. O relatório SOC 2 de um fornecedor trata dos seus controles de segurança, mas não substitui o contrato do artigo 28. As regras de gravação de chamadas de cada país são uma camada separada; veja consentimento para gravar chamadas. Para a visão de infraestrutura, leia o guia sobre IA de voz on-premise.
Perguntas para o jurídico
- Qual base legal se aplica a gravar e transcrever chamadas no nosso caso de uso?
- Somos controlador, operador ou ambos, e quem são nossos operadores e suboperadores?
- Alguma etapa move áudio ou transcrições para fora da UE, e qual mecanismo de transferência as cobre?
- A identificação do falante ou a verificação por voz conta para nós como tratamento biométrico?
- Alguma decisão do nosso agente tem efeitos jurídicos ou significativos similares que acionem o artigo 22?
Termos relacionados
Guias
Fontes
Esta página traz informação geral, não aconselhamento jurídico. As regras variam conforme o país, o estado e o caso de uso, e mudam. Consulte as fontes indicadas e peça orientação a um advogado qualificado antes de se basear nela.
Última revisão em 19 de outubro de 2026